magic-pocket-cli 0.35.0__tar.gz → 0.37.0__tar.gz

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/PKG-INFO

@@ -1,13 +1,13 @@
 Metadata-Version: 2.5
 Name: magic-pocket-cli
-Version: 0.35.0
+Version: 0.37.0
 Summary: CLI and deploy tools for magic-pocket.
 Requires-Python: >=3.10
 Requires-Dist: awscrt>=0.19.0
 Requires-Dist: click>=8.1.7
 Requires-Dist: deepdiff>=6.7.1
 Requires-Dist: jinja2>=3.1.3
-Requires-Dist: magic-pocket<0.36,>=0.35.0
+Requires-Dist: magic-pocket<0.38,>=0.37.0
 Requires-Dist: pathspec>=1.0.4
 Requires-Dist: python-on-whales>=0.68.0
 Requires-Dist: pyyaml>=6.0.1

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/cli/backup_cli.py

@@ -38,7 +38,7 @@ def backup():
 def cleanup(stage: str, yes: bool):
     """この stage のバックアップデータ (recovery point) を削除する。
 
-    [backup] deletable = true の宣言が必要。pocket 管理 vault (pocket-backup)
+    [backup] deletable = true の宣言が必要。この stage の pocket 管理 vault
     にある、現存する対象 DB (dsql / managed rds) の recovery point だけを消す。
     削除済み cluster の分は ARN で引けないため対象外 (AWS Backup コンソールから
     削除する)。plan (スケジュール) には触らない。

magic_pocket_cli-0.37.0/pocket_cli/cli/cleanup_deprecated_cli.py

@@ -0,0 +1,140 @@
+"""pocket cleanup-deprecated: 旧バージョンが残した account 単位リソースの掃除。
+
+stage 単位の移行 (`pocket migrate` / deploy の migrate フェーズ) と違い、account
+内の全 stage・全 project が共有していたリソースを対象にする。どの stage からも
+参照されなくなったことを検査した上で、利用者の明示操作でだけ削除する
+(deploy から自動では呼ばない)。
+"""
+
+from __future__ import annotations
+
+import time
+
+import click
+
+from pocket.settings import Settings
+from pocket.utils import echo
+from pocket_cli.cli import interaction
+from pocket_cli.resources.aws.backup_common import (
+    LEGACY_BACKUP_ROLE_NAME,
+    LEGACY_BACKUP_VAULT_NAME,
+)
+from pocket_cli.resources.aws.backup_legacy import LegacyBackupCleanup
+
+_VAULT_DELETE_ATTEMPTS = 12
+_VAULT_DELETE_INTERVAL = 10
+
+
+@click.command(name="cleanup-deprecated")
+@click.option("--stage", envvar="POCKET_DEPLOY_STAGE", prompt=True)
+@click.option(
+    "--delete-recovery-points",
+    is_flag=True,
+    default=False,
+    help="旧 vault に残るバックアップデータ (recovery point) も削除する"
+    " (account 内の他 project の分も含む)",
+)
+@click.option("--dry-run", is_flag=True, default=False, help="対象の表示だけ行う")
+@click.option(
+    "--yes", "-y", is_flag=True, default=False, help="確認プロンプトをスキップ"
+)
+def cleanup_deprecated(
+    stage: str, delete_recovery_points: bool, dry_run: bool, yes: bool
+):
+    """旧バージョンが残した account 共有リソースを削除する。
+
+    対象は 0.36 以前の backup vault (pocket-backup) とサービスロール
+    (forge-pocket-backup-role)。AWS account を共有している全 stage・全 project を
+    0.37.0 以上で deploy し終えてから、account/region ごとに 1 回実行する
+    (--stage は region の解決に使う)。旧リソースをまだ参照している plan /
+    selection があれば中止する。IAM ロールは全 region 共通なので、複数 region で
+    pocket を使っている場合は全 region の更新後に実行すること。
+    """
+    interaction.set_assume_yes(yes)
+    region = Settings.from_toml(stage=stage).region
+    cleanup = LegacyBackupCleanup(region)
+    _abort_if_referenced(cleanup, region)
+
+    vault_exists = cleanup.vault_exists()
+    role_exists = cleanup.role_exists()
+    if not vault_exists and not role_exists:
+        echo.success("削除対象の旧リソースはありません (region: %s)。" % region)
+        return
+
+    points = cleanup.recovery_points() if vault_exists else []
+    delete_vault = vault_exists and (not points or delete_recovery_points)
+    if vault_exists:
+        echo.info(
+            "backup vault: %s (recovery point %d 件)"
+            % (LEGACY_BACKUP_VAULT_NAME, len(points))
+        )
+    if role_exists:
+        echo.info("IAM role: %s" % LEGACY_BACKUP_ROLE_NAME)
+    if vault_exists and not delete_vault:
+        _explain_kept_vault(cleanup, points)
+    if dry_run or not (delete_vault or role_exists):
+        return
+
+    _confirm(points if delete_vault else [])
+    if role_exists and cleanup.delete_role():
+        echo.log("Deleted IAM role: %s" % LEGACY_BACKUP_ROLE_NAME)
+    if delete_vault and not _delete_vault(cleanup, points):
+        raise click.ClickException(
+            "recovery point の削除がまだ反映されておらず、vault を削除できません"
+            "でした。少し待って再実行してください。"
+        )
+    echo.success("旧リソースの掃除が完了しました。")
+
+
+def _abort_if_referenced(cleanup: LegacyBackupCleanup, region: str) -> None:
+    references = cleanup.references()
+    if not references:
+        return
+    for ref in references:
+        echo.warning("  - %s" % ref)
+    raise click.ClickException(
+        "旧リソースをまだ参照している設定があります (region: %s)。"
+        "該当する stage を 0.37.0 以上の pocket で deploy してから"
+        "再実行してください。" % region
+    )
+
+
+def _confirm(points_to_delete: list[dict]) -> None:
+    if points_to_delete:
+        text = (
+            "旧 vault の recovery point %d 件を削除します。account 内の他 project の"
+            "バックアップデータも含まれ、復元できなくなります。続行しますか？"
+            % len(points_to_delete)
+        )
+    else:
+        text = "上記の旧リソースを削除しますか？"
+    interaction.confirm(text, default=False, abort=True)
+
+
+def _delete_vault(cleanup: LegacyBackupCleanup, points: list[dict]) -> bool:
+    if points:
+        cleanup.delete_recovery_points(points)
+        echo.log("Deleted %d recovery points" % len(points))
+    # recovery point の削除は非同期で、直後の DeleteBackupVault は「空でない」と
+    # 拒否される (実測)。反映を少し待つ
+    for attempt in range(_VAULT_DELETE_ATTEMPTS):
+        if cleanup.delete_vault():
+            echo.log("Deleted backup vault: %s" % LEGACY_BACKUP_VAULT_NAME)
+            return True
+        if attempt + 1 < _VAULT_DELETE_ATTEMPTS:
+            time.sleep(_VAULT_DELETE_INTERVAL)
+    return False
+
+
+def _explain_kept_vault(cleanup: LegacyBackupCleanup, points: list[dict]) -> None:
+    expiry = cleanup.last_expiry(points)
+    when = (
+        "%s 以降" % expiry.strftime("%Y-%m-%d")
+        if expiry
+        else "無期限保持のものがあるため自動では空になりません"
+    )
+    echo.warning(
+        "recovery point が残っているため vault は削除しません。保持期限で失効して"
+        "空になった後 (%s) に再実行するか、--delete-recovery-points で"
+        "データごと削除してください。" % when
+    )

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/cli/dsql_cli.py

@@ -6,7 +6,6 @@ from botocore.exceptions import ClientError
 from pocket.context import Context
 from pocket.utils import echo
 from pocket_cli.cli.resource_helper import require_configured
-from pocket_cli.resources.aws.backup_common import BACKUP_ROLE_NAME, BACKUP_VAULT_NAME
 from pocket_cli.resources.dsql import (
     BACKUP_TERMINAL_STATES,
     DEFAULT_ON_DEMAND_RETENTION_DAYS,
@@ -77,13 +76,13 @@ def endpoint(stage, format_):
     "--vault",
     default=None,
     help="バックアップ先の AWS Backup vault 名"
-    " (省略時: pocket 管理の '%s' を自動作成して使用)" % BACKUP_VAULT_NAME,
+    " (省略時: pocket 管理の '{stage}-{project}-...-backup' を自動作成して使用)",
 )
 @click.option(
     "--iam-role-arn",
     default=None,
     help="AWS Backup が assume するロール ARN"
-    " (省略時: pocket 管理の '%s' を自動作成して使用)" % BACKUP_ROLE_NAME,
+    " (省略時: pocket 管理の '{stage}-{project}-...-backup-role' を自動作成して使用)",
 )
 @click.option(
     "--retention-days",

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/cli/inbound_cli.py

@@ -10,7 +10,8 @@ from botocore.config import Config
 from pocket.inbound import SETUP_NOTIFICATION, receipt_id, validate_receipt_id
 from pocket.inbound_context import InboundContext
 from pocket.settings import Settings, parse_handler_ref
-from pocket_cli.resources.inbound import Inbound
+from pocket_cli.cli import interaction
+from pocket_cli.resources.inbound import Inbound, no_active_rule_set_guide
 
 
 @click.group()
@@ -27,48 +28,58 @@ def inbound(ctx, stage, name):
 
 
 @inbound.command()
+@click.option(
+    "--format",
+    "output_format",
+    type=click.Choice(["text", "json"]),
+    default="text",
+    help="DNSレコードの出力形式",
+)
 @click.pass_obj
-def init(resource):
-    """共有rule setの初期化とドメイン検証の申請（初回のみ）。"""
-    ses = boto3.client("ses", region_name=resource.context.region)
+def init(resource, output_format):
+    """ドメイン検証を申請し、登録すべきDNSレコードを出力する（初回のみ）。
+
+    receipt rule setはaccount/regionで1つしかactiveにできない共有物のため、
+    project単位の道具であるpocketは作成も有効化もしない。
+    """
+    region = resource.context.region
+    ses = boto3.client("ses", region_name=region)
     active = ses.describe_active_receipt_rule_set().get("Metadata", {}).get("Name")
     if not active:
-        name = "pocket-inbound"
-        names = [
-            item["Name"]
-            for page in ses.get_paginator("list_receipt_rule_sets").paginate()
-            for item in page["RuleSets"]
-        ]
-        if name in names:
-            raise click.ClickException(
-                "pocket-inboundが既にあります。内容を確認し管理者が有効化してください"
-            )
-        click.confirm(
-            "このaccount/regionで初期化を同時実行していないことを確認してください。"
-            "共有rule set pocket-inboundを作成・有効化しますか？",
-            abort=True,
-        )
-        if ses.describe_active_receipt_rule_set().get("Metadata"):
-            raise click.ClickException("active setが変わりました。再実行してください")
-        ses.create_receipt_rule_set(RuleSetName=name)
-        if ses.describe_active_receipt_rule_set().get("Metadata"):
-            raise click.ClickException(
-                "初期化中にactive setが変わりました。有効化を中止します"
-            )
-        ses.set_active_receipt_rule_set(RuleSetName=name)
-        active = ses.describe_active_receipt_rule_set().get("Metadata", {}).get("Name")
-        if active != name:
-            raise click.ClickException("有効化後のactive setが一致しません")
+        raise click.ClickException(no_active_rule_set_guide(region))
     domain = resource.context.config.domain
     result = ses.get_identity_verification_attributes(Identities=[domain])
     identity = result.get("VerificationAttributes", {}).get(domain, {})
     token = identity.get("VerificationToken")
     if not token and identity.get("VerificationStatus") != "Success":
         token = ses.verify_domain_identity(Domain=domain)["VerificationToken"]
-    click.echo(f"active rule set: {active}")
+    records = []
     if token:
-        click.echo(f"TXT _amazonses.{domain} {token}")
-    click.echo(f"MX {domain} 10 inbound-smtp.{resource.context.region}.amazonaws.com")
+        records.append({"type": "TXT", "name": f"_amazonses.{domain}", "value": token})
+    records.append(
+        {
+            "type": "MX",
+            "name": domain,
+            "priority": 10,
+            "value": f"inbound-smtp.{region}.amazonaws.com",
+        }
+    )
+    if output_format == "json":
+        payload = {
+            "active_rule_set": active,
+            "domain": domain,
+            "region": region,
+            "verification_status": identity.get("VerificationStatus") or "Pending",
+            "records": records,
+        }
+        click.echo(json.dumps(payload, ensure_ascii=False, indent=2))
+        return
+    click.echo(f"active rule set: {active}")
+    for record in records:
+        if record["type"] == "TXT":
+            click.echo(f"TXT {record['name']} {record['value']}")
+        else:
+            click.echo(f"MX {record['name']} {record['priority']} {record['value']}")
     click.echo("SES受信対応リージョンとMXの既存配送先を確認してDNSを登録してください。")
 
 
@@ -94,11 +105,17 @@ def show_yaml(resource):
 
 
 @inbound.command()
+@click.option(
+    "--yes", "-y", is_flag=True, default=False, help="確認プロンプトをスキップ"
+)
 @click.pass_obj
-def destroy(resource):
+def destroy(resource, yes):
     """無効化・配送猶予・滞留解消後に自分のルールとスタックを削除する。"""
-    click.confirm(
-        "受信停止後36時間以上経過し、原本の照合・必要な退避を終えましたか？", abort=True
+    interaction.set_assume_yes(yes)
+    interaction.confirm(
+        "受信停止後36時間以上経過し、原本の照合・必要な退避を終えましたか？",
+        default=False,
+        abort=True,
     )
     resource.delete()
 

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/cli/main_cli.py

@@ -17,6 +17,7 @@ except ModuleNotFoundError as e:
 from pocket_cli.cli import (
     backup_cli,
     build_cli,
+    cleanup_deprecated_cli,
     cloudfront_cli,
     cloudfront_keys_cli,
     cloudfront_waf_cli,
@@ -134,6 +135,7 @@ main.add_command(migrate_cli.migrate)
 main.add_command(permissions_cli.permissions)
 main.add_command(waf_cli.waf)
 main.add_command(backup_cli.backup)
+main.add_command(cleanup_deprecated_cli.cleanup_deprecated)
 
 
 @main.group()

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/resources/aws/backup_common.py

@@ -18,9 +18,15 @@ from pocket.utils import echo
 # pocket 管理のバックアップ前提リソース。AWS Backup の Default vault /
 # AWSBackupDefaultServiceRole は console 初回操作で作られるもので、API しか
 # 使わないアカウントには存在しないため、pocket 側で冪等に ensure する。
-# ロール名の forge- prefix は codebuild ロールの命名に合わせている
-BACKUP_VAULT_NAME = "pocket-backup"
-BACKUP_ROLE_NAME = "forge-pocket-backup-role"
+# 名前は stage 単位 ({resource_prefix}backup / {resource_prefix}backup-role) で、
+# context が導出する。
+#
+# 0.36 以前は account 共有の固定名だった。vault は改名も recovery point の移動も
+# できず、account 内の他 stage / project と共有なので pocket からは消せない。
+# 旧 vault の recovery point は取得時の lifecycle で失効するまで残り、pocket の
+# list / cleanup の対象外になる (docs の移行手順を参照)
+LEGACY_BACKUP_VAULT_NAME = "pocket-backup"
+LEGACY_BACKUP_ROLE_NAME = "forge-pocket-backup-role"
 _BACKUP_ROLE_POLICIES = (
     "arn:aws:iam::aws:policy/service-role/AWSBackupServiceRolePolicyForBackup",
     "arn:aws:iam::aws:policy/service-role/AWSBackupServiceRolePolicyForRestores",
@@ -45,18 +51,20 @@ def ensure_backup_vault(backup_client, name: str) -> None:
     echo.log("Created backup vault: %s" % name)
 
 
-def ensure_backup_role(iam_client, permissions_boundary: str | None) -> str:
+def ensure_backup_role(
+    iam_client, role_name: str, permissions_boundary: str | None
+) -> str:
     """AWS Backup サービスロールを冪等に ensure して ARN を返す。
 
     codebuild の _ensure_role と同型。boundary 必須のアカウントでも作成
     できるよう permissions_boundary を付与する。
     """
     try:
-        return iam_client.get_role(RoleName=BACKUP_ROLE_NAME)["Role"]["Arn"]
+        return iam_client.get_role(RoleName=role_name)["Role"]["Arn"]
     except ClientError as e:
         if e.response["Error"]["Code"] != "NoSuchEntity":
             raise
-    echo.log("Creating AWS Backup service role: %s" % BACKUP_ROLE_NAME)
+    echo.log("Creating AWS Backup service role: %s" % role_name)
     assume_role_policy = json.dumps(
         {
             "Version": "2012-10-17",
@@ -70,15 +78,36 @@ def ensure_backup_role(iam_client, permissions_boundary: str | None) -> str:
         }
     )
     create_kwargs: dict = {
-        "RoleName": BACKUP_ROLE_NAME,
+        "RoleName": role_name,
         "AssumeRolePolicyDocument": assume_role_policy,
     }
     if permissions_boundary:
         create_kwargs["PermissionsBoundary"] = permissions_boundary
     role_arn: str = iam_client.create_role(**create_kwargs)["Role"]["Arn"]
     for policy_arn in _BACKUP_ROLE_POLICIES:
-        iam_client.attach_role_policy(RoleName=BACKUP_ROLE_NAME, PolicyArn=policy_arn)
+        iam_client.attach_role_policy(RoleName=role_name, PolicyArn=policy_arn)
     # IAM ロールの伝播待ち (作成直後の StartBackupJob 失敗を避ける)
     echo.log("Waiting for IAM role propagation...")
     time.sleep(10)
     return role_arn
+
+
+def delete_backup_role(iam_client, role_name: str) -> bool:
+    """stage 所有の AWS Backup サービスロールを削除する (無ければ False)。
+
+    ロールは「設定」側の付属物なので destroy で消す (vault と recovery point は
+    データなので残す)。復元等で再び必要になれば ensure_backup_role が作り直す。
+    """
+    try:
+        for policy_arn in _BACKUP_ROLE_POLICIES:
+            try:
+                iam_client.detach_role_policy(RoleName=role_name, PolicyArn=policy_arn)
+            except ClientError as e:
+                if e.response["Error"]["Code"] != "NoSuchEntity":
+                    raise
+        iam_client.delete_role(RoleName=role_name)
+    except ClientError as e:
+        if e.response["Error"]["Code"] == "NoSuchEntity":
+            return False
+        raise
+    return True

magic_pocket_cli-0.37.0/pocket_cli/resources/aws/backup_legacy.py

@@ -0,0 +1,124 @@
+"""0.36 以前の account 共有 backup リソース (vault / サービスロール) の掃除。
+
+0.37.0 で vault / ロールを stage 単位の名前に改めたため、旧名のリソースは
+どのコードからも参照されなくなる。ただし account 内の全 stage・全 project が
+共有していたので、deploy や destroy (= stage 単位の操作) からは消せない。
+「全 stage を更新し終えた」ことを利用者が確認した上で明示的に呼ぶ
+`pocket cleanup-deprecated` がここを使う。
+"""
+
+from __future__ import annotations
+
+from datetime import datetime
+
+import boto3
+from botocore.exceptions import ClientError
+
+from pocket_cli.resources.aws.backup_common import (
+    LEGACY_BACKUP_ROLE_NAME,
+    LEGACY_BACKUP_VAULT_NAME,
+    delete_backup_role,
+)
+
+
+class LegacyBackupCleanup:
+    def __init__(self, region: str) -> None:
+        self.region = region
+        self._backup = boto3.client("backup", region_name=region)
+        self._iam = boto3.client("iam", region_name=region)
+
+    def references(self) -> list[str]:
+        """旧 vault / 旧ロールをまだ参照している plan・selection の説明一覧。
+
+        1 件でもあれば、その stage は 0.36 以前のまま (未 deploy) なので、
+        消すと定期バックアップが失敗し始める。掃除の前提条件として検査する。
+        """
+        found: list[str] = []
+        paginator = self._backup.get_paginator("list_backup_plans")
+        for page in paginator.paginate():
+            for item in page["BackupPlansList"]:
+                plan_id = item["BackupPlanId"]
+                plan_name = item["BackupPlanName"]
+                plan = self._backup.get_backup_plan(BackupPlanId=plan_id)["BackupPlan"]
+                if any(
+                    rule.get("TargetBackupVaultName") == LEGACY_BACKUP_VAULT_NAME
+                    for rule in plan.get("Rules", [])
+                ):
+                    found.append(
+                        "backup plan %s (保存先が %s)"
+                        % (plan_name, LEGACY_BACKUP_VAULT_NAME)
+                    )
+                found.extend(self._selection_references(plan_id, plan_name))
+        return found
+
+    def _selection_references(self, plan_id: str, plan_name: str) -> list[str]:
+        found: list[str] = []
+        suffix = ":role/%s" % LEGACY_BACKUP_ROLE_NAME
+        selections = self._backup.list_backup_selections(BackupPlanId=plan_id)
+        for item in selections["BackupSelectionsList"]:
+            detail = self._backup.get_backup_selection(
+                BackupPlanId=plan_id, SelectionId=item["SelectionId"]
+            )
+            if detail["BackupSelection"].get("IamRoleArn", "").endswith(suffix):
+                found.append(
+                    "backup selection %s / %s (ロールが %s)"
+                    % (plan_name, item["SelectionName"], LEGACY_BACKUP_ROLE_NAME)
+                )
+        return found
+
+    def vault_exists(self) -> bool:
+        """旧 vault があるか。
+
+        DescribeBackupVault は、vault が 1 つも無い account では存在しない vault に
+        AccessDeniedException を返し「未作成」を判定できないため、一覧で調べる。
+        """
+        paginator = self._backup.get_paginator("list_backup_vaults")
+        for page in paginator.paginate():
+            for vault in page["BackupVaultList"]:
+                if vault["BackupVaultName"] == LEGACY_BACKUP_VAULT_NAME:
+                    return True
+        return False
+
+    def recovery_points(self) -> list[dict]:
+        points: list[dict] = []
+        paginator = self._backup.get_paginator("list_recovery_points_by_backup_vault")
+        for page in paginator.paginate(BackupVaultName=LEGACY_BACKUP_VAULT_NAME):
+            points.extend(page["RecoveryPoints"])
+        return points
+
+    @staticmethod
+    def last_expiry(points: list[dict]) -> datetime | None:
+        """全 recovery point が失効し終える日時 (無期限のものがあれば None)。"""
+        expiries = [p.get("CalculatedLifecycle", {}).get("DeleteAt") for p in points]
+        if not expiries or any(e is None for e in expiries):
+            return None
+        return max(expiries)
+
+    def delete_recovery_points(self, points: list[dict]) -> None:
+        for point in points:
+            self._backup.delete_recovery_point(
+                BackupVaultName=LEGACY_BACKUP_VAULT_NAME,
+                RecoveryPointArn=point["RecoveryPointArn"],
+            )
+
+    def delete_vault(self) -> bool:
+        """旧 vault を削除する。recovery point の削除が未反映で空でなければ False。"""
+        try:
+            self._backup.delete_backup_vault(BackupVaultName=LEGACY_BACKUP_VAULT_NAME)
+        except ClientError as e:
+            if e.response["Error"]["Code"] == "InvalidRequestException":
+                return False
+            raise
+        return True
+
+    def role_exists(self) -> bool:
+        try:
+            self._iam.get_role(RoleName=LEGACY_BACKUP_ROLE_NAME)
+        except ClientError as e:
+            if e.response["Error"]["Code"] == "NoSuchEntity":
+                return False
+            raise
+        return True
+
+    def delete_role(self) -> bool:
+        return delete_backup_role(self._iam, LEGACY_BACKUP_ROLE_NAME)

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/resources/aws/builders/codebuild.py

@@ -65,7 +65,12 @@ class CodeBuildBuilder:
         self.sts = boto3.client("sts", region_name=region)
 
         self._project_name = f"{resource_prefix}codebuild"
-        self._role_name = f"forge-{resource_prefix}codebuild-role"
+        self._role_name = f"{resource_prefix}codebuild-role"
+        # 0.36 以前のロール名。forge- は開発環境由来の prefix で pocket の命名規約
+        # ({stage}-{project}-...) と無関係だったため改名した。ロールは stage の
+        # 所有物なので、新ロールへ付け替えた後に pocket が削除する (改名互換。
+        # いずれ削除予定)
+        self._legacy_role_name = f"forge-{resource_prefix}codebuild-role"
         self._source_key = f"codebuild/{self._project_name}/source.zip"
 
     def build_and_push(
@@ -85,6 +90,8 @@ class CodeBuildBuilder:
 
         role_arn = self._ensure_role(account_id)
         self._ensure_project(platform, role_arn)
+        # project の serviceRole を新ロールへ付け替えた後なので、旧名ロールは孤児
+        self._delete_role(self._legacy_role_name)
         self._upload_source(dockerfile_path)
 
         build_id = self._start_build(
@@ -101,7 +108,8 @@ class CodeBuildBuilder:
     def delete(self) -> None:
         """CodeBuildプロジェクトとIAMロールを削除"""
         self._delete_project()
-        self._delete_role()
+        self._delete_role(self._role_name)
+        self._delete_role(self._legacy_role_name)
 
     # --- IAM ロール ---
 
@@ -199,16 +207,14 @@ class CodeBuildBuilder:
         time.sleep(10)
         return role_arn
 
-    def _delete_role(self) -> None:
+    def _delete_role(self, role_name: str) -> None:
         try:
             # インラインポリシー削除
-            policies = self.iam.list_role_policies(RoleName=self._role_name)
+            policies = self.iam.list_role_policies(RoleName=role_name)
             for policy_name in policies["PolicyNames"]:
-                self.iam.delete_role_policy(
-                    RoleName=self._role_name, PolicyName=policy_name
-                )
-            self.iam.delete_role(RoleName=self._role_name)
-            print("  IAMロール削除: %s" % self._role_name)
+                self.iam.delete_role_policy(RoleName=role_name, PolicyName=policy_name)
+            self.iam.delete_role(RoleName=role_name)
+            print("  IAMロール削除: %s" % role_name)
         except ClientError as e:
             if e.response["Error"]["Code"] == "NoSuchEntity":
                 return
@@ -355,8 +361,15 @@ class CodeBuildBuilder:
         return len(resp.get("projects", [])) > 0
 
     def role_exists(self) -> bool:
+        """現行名・旧名いずれかのロールがあるか (destroy の対象判定用)。"""
+        return any(
+            self._role_exists(name)
+            for name in (self._role_name, self._legacy_role_name)
+        )
+
+    def _role_exists(self, role_name: str) -> bool:
         try:
-            self.iam.get_role(RoleName=self._role_name)
+            self.iam.get_role(RoleName=role_name)
             return True
         except ClientError as e:
             if e.response["Error"]["Code"] == "NoSuchEntity":

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/resources/backup.py

@@ -8,7 +8,7 @@ from botocore.exceptions import ClientError
 from pocket.resources.base import ResourceStatus
 from pocket.utils import echo
 from pocket_cli.resources.aws.backup_common import (
-    BACKUP_VAULT_NAME,
+    delete_backup_role,
     ensure_backup_role,
     ensure_backup_vault,
 )
@@ -151,8 +151,10 @@ class Backup:
             ]
             if not targets:
                 return
-            ensure_backup_vault(self._backup, BACKUP_VAULT_NAME)
-            role_arn = ensure_backup_role(self._iam, self.context.permissions_boundary)
+            ensure_backup_vault(self._backup, self.context.vault_name)
+            role_arn = ensure_backup_role(
+                self._iam, self.context.role_name, self.context.permissions_boundary
+            )
             for plan, arn in targets:
                 plan_id = self._ensure_plan(plan)
                 self._ensure_selection(plan, plan_id, role_arn, [arn])
@@ -200,7 +202,7 @@ class Backup:
             rules.append(
                 {
                     "RuleName": rule.name,
-                    "TargetBackupVaultName": BACKUP_VAULT_NAME,
+                    "TargetBackupVaultName": self.context.vault_name,
                     "ScheduleExpression": rule.schedule_expression,
                     "ScheduleExpressionTimezone": self.context.timezone,
                     "Lifecycle": lifecycle,
@@ -251,8 +253,9 @@ class Backup:
     ) -> None:
         """対象 DB の ARN を指した selection を確保する。
 
-        selection には更新 API が無いため、対象 ARN が変わっていたら
-        (cluster 再作成など) 作り直す。
+        selection には更新 API が無いため、対象 ARN (cluster 再作成など) か
+        サービスロール (0.36 以前の account 共有ロールからの移行) が変わって
+        いたら作り直す。
         """
         selections = self._backup.list_backup_selections(BackupPlanId=plan_id)
         for item in selections["BackupSelectionsList"]:
@@ -261,7 +264,11 @@ class Backup:
             detail = self._backup.get_backup_selection(
                 BackupPlanId=plan_id, SelectionId=item["SelectionId"]
             )
-            if sorted(detail["BackupSelection"].get("Resources", [])) == arns:
+            current = detail["BackupSelection"]
+            if (
+                sorted(current.get("Resources", [])) == arns
+                and current.get("IamRoleArn") == role_arn
+            ):
                 return
             self._backup.delete_backup_selection(
                 BackupPlanId=plan_id, SelectionId=item["SelectionId"]
@@ -277,7 +284,7 @@ class Backup:
         )
 
     def delete(self) -> None:
-        """backup plan / selection を削除する。
+        """backup plan / selection とサービスロールを削除する。
 
         recovery point と vault は消さない。バックアップ「設定」は stack の
         付属物だが、バックアップ「データ」は stack より長生きさせるべきで、
@@ -288,6 +295,10 @@ class Backup:
         持たない deploy role でも destroy 自体は完遂させたいので、権限エラーは
         警告に留める。
         """
+        self._delete_plans()
+        self._delete_role()
+
+    def _delete_plans(self) -> None:
         for plan_name in self.context.cleanup_plan_names:
             try:
                 plan_id = self._find_plan_id(plan_name)
@@ -305,6 +316,26 @@ class Backup:
             self._delete_plan(plan_id)
             echo.log("Deleted backup plan: %s" % plan_name)
 
+    def _delete_role(self) -> None:
+        """stage 所有のサービスロールを削除する (selection を消した後に呼ぶ)。
+
+        0.36 以前の account 共有ロール (forge-pocket-backup-role) は他 stage /
+        project が使っている可能性があるため触らない。
+        """
+        try:
+            if delete_backup_role(self._iam, self.context.role_name):
+                echo.log("Deleted backup service role: %s" % self.context.role_name)
+        except ClientError as e:
+            if e.response["Error"]["Code"] not in (
+                "AccessDenied",
+                "AccessDeniedException",
+            ):
+                raise
+            echo.warning(
+                "backup サービスロール (%s) を削除する権限がないため、スキップ"
+                "しました。不要なら手動で削除してください。" % self.context.role_name
+            )
+
     def _delete_plan(self, plan_id: str) -> None:
         """selection → plan の順に削除する (selection が残ると plan を消せない)。"""
         selections = self._backup.list_backup_selections(BackupPlanId=plan_id)
@@ -315,7 +346,7 @@ class Backup:
         self._backup.delete_backup_plan(BackupPlanId=plan_id)
 
     def list_recovery_points(self) -> list[dict] | None:
-        """対象 DB の recovery point 一覧 (pocket-backup vault 内のもの)。
+        """対象 DB の recovery point 一覧 (pocket 管理 vault 内のもの)。
 
         現存する cluster の ARN でしか引けない (削除済み cluster の分は対象外 =
         console でしか消せない)。権限が無ければ None を返す (呼び出し側が案内を
@@ -334,8 +365,11 @@ class Backup:
                 raise
             return None
         # pocket 管理の vault 分だけを扱う (--vault で利用者の vault に取った
-        # オンデマンド分は利用者の管理物とみなし、pocket からは消さない)
-        return [p for p in points if p.get("BackupVaultName") == BACKUP_VAULT_NAME]
+        # オンデマンド分は利用者の管理物とみなし、pocket からは消さない)。0.36 以前の
+        # account 共有 vault (pocket-backup) に残る分も同じ理由で対象外
+        return [
+            p for p in points if p.get("BackupVaultName") == self.context.vault_name
+        ]
 
     def delete_recovery_points(self, points: list[dict]) -> int:
         """recovery point を削除して件数を返す。

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/resources/dsql.py

@@ -15,7 +15,6 @@ from pocket.secret_store import (
 )
 from pocket.utils import echo
 from pocket_cli.resources.aws.backup_common import (
-    BACKUP_VAULT_NAME,
     ensure_backup_role,
     ensure_backup_vault,
 )
@@ -216,7 +215,7 @@ class Dsql:
         if not self.arn:
             raise ValueError("Cluster not found")
         if vault_name is None:
-            vault_name = BACKUP_VAULT_NAME
+            vault_name = self.context.backup_vault_name
             self._ensure_backup_vault(vault_name)
         if iam_role_arn is None:
             iam_role_arn = self._ensure_backup_role()
@@ -261,7 +260,11 @@ class Dsql:
         ensure_backup_vault(self._backup, name)
 
     def _ensure_backup_role(self) -> str:
-        return ensure_backup_role(self._iam, self.context.permissions_boundary)
+        return ensure_backup_role(
+            self._iam,
+            self.context.backup_role_name,
+            self.context.permissions_boundary,
+        )
 
     def latest_recovery_point(self) -> dict | None:
         """現用クラスターの最新 recovery point (完了済み) を返す。"""

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pocket_cli/resources/inbound.py

@@ -14,16 +14,31 @@ from pocket_cli.resources.aws.stack_backed import StackBackedResource
 from pocket_cli.resources.inbound_template import build_template
 
 
+def no_active_rule_set_guide(region: str) -> str:
+    """active setが無いaccount/region向けの案内。
+
+    receipt rule setはaccount/regionで1つしかactiveにできない共有物なので、
+    pocketは作成・有効化しない。名前はSESコンソールが自動作成する
+    default-rule-setに揃えて案内する（既にactiveなsetがあれば名前は問わない）。
+    """
+    return (
+        "active な receipt rule set がありません。"
+        "account/regionで1回だけ次を実行してください"
+        "（account単位の土台なので、pocketは作成・有効化しません）:\n"
+        "  aws ses create-receipt-rule-set"
+        f" --rule-set-name default-rule-set --region {region}\n"
+        "  aws ses set-active-receipt-rule-set"
+        f" --rule-set-name default-rule-set --region {region}"
+    )
+
+
 def resolve_rules(
     active: dict, ctx: InboundContext, deployed: dict | None
 ) -> tuple[str, str | None]:
     """明示指定なしならactive setへ末尾追加。既存bindingの漂流は拒否する。"""
     name = active.get("Metadata", {}).get("Name")
     if not name:
-        raise ValueError(
-            "active receipt rule set がありません。"
-            "pocket resource inbound init を実行してください"
-        )
+        raise ValueError(no_active_rule_set_guide(ctx.region))
     if ctx.config.rule_set and ctx.config.rule_set != name:
         raise ValueError("明示したrule_setがactive setと一致しません")
     expected = (deployed or {}).get("RuleSet") or ctx.config.rule_set

{magic_pocket_cli-0.35.0 → magic_pocket_cli-0.37.0}/pyproject.toml

@@ -1,12 +1,12 @@
 [project]
 name = "magic-pocket-cli"
-version = "0.35.0"
+version = "0.37.0"
 description = "CLI and deploy tools for magic-pocket."
 requires-python = ">=3.10"
 dependencies = [
     # lib は同 minor に束縛する。0.x では minor が breaking の単位のため、
     # 上限なしだと cli を pin した消費者にも lib の破壊的変更が届いてしまう
-    "magic-pocket>=0.35.0,<0.36",
+    "magic-pocket>=0.37.0,<0.38",
     "click>=8.1.7",
     "jinja2>=3.1.3",
     "python-on-whales>=0.68.0",